Fałszywa weryfikacja Cloudflare na przejętych stronach firm instaluje stealer Psychedelic

Arctic Wolf Labs opisał aktywną kampanię ClickFix, w której przejęte strony ukraińskich firm wyświetlają fałszywą weryfikację Cloudflare i instalują nieopisany wcześniej stealer Psychedelic. Strona kopiuje do schowka polecenie msiexec.exe, a potem w języku ukraińskim każe odwiedzającemu wkleić je w okno Uruchom w systemie Windows. Polecenie pobiera instalator MSI, między innymi elita.msi z domeny uasputnik[.]com zarejestrowanej 9 września 2026 roku. Stealer zbiera hasła zapisane w przeglądarkach, tokeny kont i dane portfeli kryptowalut. Zakłada też zaplanowane zadanie, żeby przetrwać restart, i łączy się z serwerem C2 po kolejne polecenia.

Kogo dotyczy

Wśród przejętych witryn są klinika leczenia włosów, producent modeli w skali, specjalistyczna księgarnia i wydawnictwo, placówka psychologiczna, sklep z narzędziami i salon motoryzacyjny. Na stronach wstrzyknięto element iframe, który uruchamia skrypt z adresu fsputnik[.]com/tds/tracker.js. Celem są użytkownicy Windows odwiedzający te strony. Badacze wskazują też inne instalatory: miks.msi, astra.msi, harbor.msi, neon.msi, sova.msi i vyse.msi.